Protezione contro il sequestro dei dati (ransomware)

5 min · 7 sezioni

Un sequestro dei dati non è un disco che si rompe. È un programma che entra —quasi sempre da un PC di casa, non dal NAS— cifra tutto ciò su cui può scrivere e lascia un biglietto chiedendo soldi. E la prima cosa che fa qualsiasi di quelli che girano oggi è cercare ed eliminare i backup, perché sanno che è l'unica cosa che toglie loro l'affare.

Per questo questa guida non parla di «fare backup». Parla del fatto che i backup siano ancora lì quando succede.

Cosa protegge e cosa no

Misura	Salva da una cifratura?	Perché
RAID (mirror, RAID-Z)	No	Il RAID copia ciò che gli mandi, compresi i file già cifrati. Protegge dalla rottura di un disco, da nient'altro.
Cestino della cartella della casa	No	Vive dentro la stessa cartella e con gli stessi permessi: chi cifra, lo svuota anche.
Istantanea normale	In parte	Il contenuto non si può modificare, ma l'istantanea si può eliminare da chi arriva a root.
Istantanea con lucchetto	Sì	ZFS si rifiuta di distruggerla finché il lucchetto è inserito. È quella da usare.
Backup su un disco USB scollegato	Sì	Ciò che non è collegato non si cifra. Resta il miglior backup che esista.
Backup nel cloud o su un altro server	In parte	Se il NAS può scrivere ed eliminare nella destinazione, anche l'attaccante può. Vedi più sotto.

1. Istantanee con lucchetto (la prima cosa da fare)

Archiviazione → Protezione → Istantanee. Ogni istantanea di un pool ZFS ha un pulsante Proteggi. Premendolo le si applica un «hold» di ZFS, e da quel momento:

Non la elimina il pulsante Elimina del pannello (compare disattivato).
Non la elimina la pulizia automatica per anzianità delle attività pianificate.
Non la elimina zfs destroy dalla console, nemmeno da root: il file system si rifiuta finché il lucchetto resta inserito.

Per toglierlo bisogna entrare nel pannello, premere Protetta e confermare. È volutamente un passaggio manuale: se un programma potesse toglierlo da solo, non servirebbe a nulla.

Btrfs non ha un equivalente. Le sue istantanee sono di sola lettura, ma chiunque abbia root le elimina con un comando. Se prendi la cosa sul serio, il pool va in ZFS.

Quante proteggerne. Un lucchetto per ogni punto a cui vorresti tornare: quello dell'ultimo giorno tranquillo, e uno mensile. Quelle giornaliere possono continuare a ruotare senza lucchetto. Tieni conto che un'istantanea protetta occupa spazio per sempre —conserva tutto ciò che è cambiato dopo di lei—, quindi controlla ogni tanto la sua dimensione nell'elenco e togli quelle di troppo.

2. Istantanee automatiche, e prima del backup

Pannello di controllo → Attività pianificate → attività di tipo istantanea, con la sua conservazione. Consiglio per una casa: una al giorno alle 3:00 con conservazione 14.

Un'istantanea è immediata e non occupa nulla quando si crea (cresce solo man mano che i dati cambiano), quindi essere generosi costa poco.

3. Che il backup esterno non si possa eliminare dal NAS

Ecco il difetto che hanno quasi tutti: il NAS conserva la password della destinazione, quindi chi controlla il NAS controlla anche il backup. Opzioni, dalla migliore alla peggiore:

Un disco USB che si collega, si copia e si scollega. Sembra antiquato ed è la cosa più efficace che esista. Una volta alla settimana basta.
Cloud con cestino o versioni proprie. Google Drive e OneDrive conservano ciò che si elimina nel loro cestino per 30 giorni, e quel cestino non si tocca dal NAS: se ti cifrano e il backup viene caricato cifrato, puoi ancora recuperare la versione precedente dal sito del provider. È il motivo per cui una destinazione nel cloud non è un lusso.
Server via SSH a casa di un familiare con un account che possa solo scrivere, mai eliminare. Richiede di configurarlo nella destinazione, non da qui.

In tutti e tre i casi, il backup del NAS conserva le versioni precedenti: vedi Backup.

4. Ridurre ciò che un PC infetto può toccare

Una cartella della casa per ogni cosa, e permessi per utente. Se il portatile del salotto monta solo Documenti, una cifratura da lì non arriva a Foto. Pannello di controllo → Cartelle della casa → permessi.
Gli ospiti, in sola lettura. Non c'è niente da spuntare: una cartella «per gli ospiti» lascia leggere chiunque e non lascia scrivere nessuno.
Non lasciare SMB aperto a internet. La porta 445 nel router è la via d'ingresso più usata che ci sia. Per entrare da fuori c'è la VPN.
Password diverse per il pannello, per SMB e per l'utente di Windows.

5. Se è già successo

Scollega il cavo di rete del NAS. Prima di tutto: finché è connesso, la cifratura continua ad avanzare attraverso la rete.
Non pagare e non riavviare il PC infetto; spegnilo.
Entra nel pannello dal monitor del dispositivo stesso (modalità chiosco) o con il cavo di rete diretto a un portatile.
Archiviazione → Protezione → Istantanee: individua l'ultima precedente al disastro —la data dei file cifrati ti dice quando è cominciato— e usa Ripristina.

In ZFS, ripristinare fa rollback: il dataset torna a quel momento e **si eliminano le istantanee successive**. Proteggi prima quella che userai, nel caso sbagli data.
In Btrfs, ripristinare lascia una copia scrivibile a parte che controlli prima di sostituire qualsiasi cosa.

Pulisci il PC d'origine prima di ricollegare il NAS alla rete. Altrimenti si ripete.

La procedura completa, con le varianti del disco guasto e della reinstallazione, è in Ripristino di emergenza.

Controllo annuale (5 minuti)

L'ultima istantanea con lucchetto è di questo mese? → Archiviazione → Protezione → Istantanee.
L'ultimo backup è finito bene? → Backup → cronologia.
Sai ripristinare? → ripristina un file qualsiasi da un'istantanea e aprilo. Un backup che non hai mai ripristinato non è un backup.